CN108664801B - 一种结合机器学习的数据防泄漏策略动态更新方法及装置 - Google Patents

Abstract

本发明公开了一种结合机器学习的数据防泄漏策略动态更新方法及装置，该方法包括以下步骤：根据用户输入的敏感文档，训练生成机器学习策略，并在策略系统中配置高/低精度匹配阈值和一个低精度匹配阈值，并将机器学习策略下发至DLP系统；当有用户文档向外发送时，对该用户文档进行敏感信息识别；根据策略管理员对用户文档的筛选结果确定是否更新机器学习策略。通过本发明的方案通过设置不同精度的匹配阈值，保证对敏感信息的拦截，并通过人工筛选，对机器学习进行再次训练，得到新的机器学习策略，提高数据保护的效率。

Description

一种结合机器学习的数据防泄漏策略动态更新方法及装置

技术领域

本发明涉及数据安全领域，具体涉及一种结合机器学习的数据防泄漏策略动态更新方法及装置。

背景技术

随着数据安全的重要性日益增强，如何保护企业内部的数据不被泄露，逐渐引起社会各层的关注，许多公司对内部敏感数据安全提出更高的要求，不仅要求能提高对流出数据保护的可靠性，而且对策略系统的易用性提出更高的要求。

数据泄密(泄露)防护(Data leakage prevention,DLP)，又称为“数据丢失防护”(Data Loss prevention,DLP)，有时也称为“信息泄漏防护”(Information leakageprevention,ILP)。数据泄密防护(DLP)是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略。DLP这一概念来源于国外，是目前国际上最主流的信息安全和数据防护手段。

现有DLP系统的策略系统，一般是通过设置关键字，正则表达式，地址规则，文件规则，智能聚类等类型策略通过与或组合关系生成的策略，这些类型的策略都是静态类型，没有动态更新的能力。特别地，对于智能聚类类型策略生成，一般来说，由于事前的样本量较少，或者样本和实际发送的涉密信息的相关性较低，无法训练出很好匹配度的策略。

如何能在原有策略系统上，更灵活动态地调整DLP系统的策略，给DLP软件开发提出了更高的要求。

基于以上考虑，本系统在原有DLP策略系统对机器学习的利用的基础上，调整了机器学习策略，对于之前设置单一高精度阈值的情况，增加了一个只记录不处理的低精度阈值，并对命中低精度情况的文档，进行人工甄别，根据人工判断的结果不断去更新机器学习的训练集，进而不断提高对企业流出信息进行防护的可靠性和易用性。

发明内容

为解决上述技术问题，本发明提供了一种结合机器学习的数据防泄漏策略动态更新方法，该方法包括以下步骤：

1)根据用户输入的敏感文档，训练生成机器学习策略，并在策略系统中配置一个高精度匹配阈值和一个低精度匹配阈值，并将机器学习策略下发至DLP系统；

2)当有用户文档向外发送时，对该用户文档进行敏感信息识别；

3)如果该用户文档和机器学习策略匹配度等于或高于高精度匹配阈值，则阻止用户文档发送；

4)如果该用户文档和机器学习策略匹配度低于高精度阈值，但高于或等于低精度匹配阈值，则允许该用户文档发送，并形成文档记录，且通知策略管理员对该用户文档进行筛选；

5)根据策略管理员对用户文档的筛选结果确定是否更新机器学习策略。

根据本发明的方法，优选的，所述步骤5)具体包括：

5.1)如果策略管理员认为该用户文档包含敏感信息，且符合当前机器学习的智能聚类，则将该用户文档发送至策略系统；

5.2)如果策略管理员认为该用户文档包含敏感信息，且不符合当前机器学习的智能聚类，则建立一个新类或将文档重新归类，并将新类名或归类后的类名、以及用户文档发送至策略系统。

根据本发明的方法，优选的，所述步骤5)具体包括：

5.3)如果步骤5.1)中发送至策略系统的用户文档，达到预定数量阈值，则策略系统汇总这些用户文档，并结合步骤1)输入的敏感文档，形成新的训练集，更新原有机器学习策略，或者

5.4)对于步骤5.2)发送的新类名或归类后的类名、以及用户文档，策略系统训练这些新类的用户文档，形成新类的机器学习策略，并根据预设值，设置该机器学习策略的高/低精度匹配阈值。

根据本发明的方法，优选的，所述步骤5.4)中，对发送的重新归类后的类名、以及用户文档，如果对于该类的用户文档，达到一定数量，则策略系统汇总这些用户文档，结合之前的训练文档，形成新的训练集，并更新原有机器学习策略。

根据本发明的方法，优选的，对于一类敏感文档，训练生成一条机器学习策略。

为解决上述技术问题，本发明提供了一种结合机器学习的数据防泄漏策略动态更新装置，该装置包括：

机器学习策略生成模块，根据用户输入的敏感文档，训练生成机器学习策略，并在策略系统中配置一个高精度匹配阈值和一个低精度匹配阈值，并将机器学习策略下发至DLP系统；

敏感信息识别模块，对外发的用户文档进行敏感信息识别；

文档阻止模块，阻止和机器学习策略相似度等于或高于高精度匹配阈值的用户文档发送；

文档筛选模块，允许和机器学习策略匹配度低于高精度阈值，但高于或等于低精度匹配阈值的用户文档发送，并形成文档记录，且通知策略管理员对该用户文档进行筛选；

机器学习策略更新模块，根据策略管理员对用户文档的筛选结果确定是否更新机器学习策略。

根据本发明的装置，优选的，所述机器学习策略更新模块具体包括：

文档发送子模块，如果策略管理员认为该用户文档包含敏感信息，且符合当前机器学习的智能聚类，则将该用户文档发送至策略系统；

文档归类子模块，如果策略管理员认为该用户文档包含敏感信息，且不符合当前机器学习的智能聚类，则建立一个新类或将文档重新归类，并将新类名或归类后的类名、以及用户文档发送至策略系统。

根据本发明的装置，优选的，所述机器学习策略更新模块具体包括：

第一训练集生成子模块，如果文档发送子模块发送至策略系统的用户文档达到预定数量阈值，则策略系统汇总这些用户文档，并结合用户输入的敏感文档，形成新的训练集，更新原有机器学习策略；

第二训练集生成子模块，对于文档归类子模块发送的新类名或重新归类后的类名、以及用户文档，策略系统训练这些新类的用户文档，形成新类的机器学习策略，并设置该机器学习策略的高/低精度匹配阈值。

根据本发明的装置，优选的，第二训练集生成子模块，对发送的新类名或归类后的类名、以及用户文档，如果对于该类的用户文档，达到预定数量阈值，则策略系统汇总这些用户文档，结合之前的训练文档，形成新的训练集，并更新原有机器学习策略。

为解决上述技术问题，本发明提供了一种计算机可读存储介质，存储有计算机程序指令，通过执行所述计算机程序指令，实现如上述之一的方法。

通过本发明提供的技术方案，可以通过设置不同精度的匹配阈值，保证对敏感信息的拦截，并通过人工筛选，将机器学习策略中，高精度阈值情况未命中，但较低精度阈值可命中的文档进行二次筛选，之后通过机器学习进行再次训练，得到新的机器学习策略，并自动将该策略下发到DLP系统，通过策略的不断迭代，能更好而且适应特定公司的要求。

附图说明

此处所说明的附图是用来提供对本发明的进一步理解，构成本申请的一部分，但并不构成对本发明的不当限定，在附图中：

图1是本发明的总体方法流程图；

图2是本发明的人工筛选方法流程图；

图3是本发明的装置组成框图。

具体实施方式

下面将结合附图以及具体实施例来详细说明本发明，其中的示意性实施例以及说明仅用来解释本发明，但并不作为对本发明的不当限定。

机器学习，机器学习算法是指才一类数据中自动分析获得规律，并利用规律对未知数据进行预测的算法。

DLP，数据防泄漏保护，指通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一套系统。

策略系统，常见于DLP系统，通过预定义形成的一些数据流出的约束条件，用以对DLP系统获取的流出数据进行判断。

匹配阈值，对机器学习训练产生的策略，需要设置一个匹配的阈值，用来说明敏感文档和策略模型的拟合度。

本发明请提出了一种结合机器学习的策略系统，初始化时，可以输入小样本量，并根据小样本生成一条机器学习策略，并对该条策略配置高低两种匹配精度。对于DLP系统，

首先，对于流出的文档，根据机器学习策略进行高精度匹配，如果能匹配，则按策略约定处理方式处理该文档流出行为。

其次，如果流出文档，无法按高精度阈值匹配该机器学习策略，但可以通过低精度阈值匹配该条策略，则将该文档记录并将该条记录交予策略管理员进行人工甄别。

最后，如果流出文档，高低精度都无法匹配机器学习策略，则对文档进行正常流出。

结合图1，对本发明提出的结合人工甄别的机器学习的DLP策略系统的数据防泄漏策略动态更新方法进行具体描述：

1)首先策略系统根据用户输入的一类敏感文档，训练生成一条机器学习策略，并在策略系统中配置两个值，一个为高精度值，用以以较高匹配度去匹配敏感文档；一个为低精度值，用以匹配匹配度较低的文档。

2)策略系统将步骤1)生成的机器学习策略下发至DLP系统，并根据需要设置策略的动作类型(此动作类型对高精度值匹配结果生效)

3)当用户有文档流出动作时，该文档经过DLP系统进行解析，并将文档内容还原为文本内容，并将解析结果送至策略匹配系统进行敏感信息识别。

4)策略匹配子程序，根据已下发的策略，对文档内容根据高精度匹配。

5)如果流出文档和机器学习策略相似度等于或高于高精度阈值，则阻止文档流出，并上报该流出行为，并产生事件，该事件可以在展示给客户。

6)如果流出文档和机器学习策略匹配度低于高精度阈值，且高于或等于低精度阈值，该文档正常流出，并将形成记录，且通知策略管理员对该文档进行筛选。

7)如果管理员认为该文档不包含敏感信息，则结束这次处理流程。

结合图2，描述当策略管理员认为文档包含敏感信息时的具体处理流程：

6.1)如果管理员认为该文档包含敏感信息，且符合当前机器学习的智能聚类，则将该文档发送至策略系统

6.2)如果管理员认为该敏感文档不符合当前机器学习的智能聚类，则管理员建立一个新类或将文档重新归类，并将新类名连同文档发送至策略系统

6.3)对于6.1)发送至策略系统的文档，如果达到一定数量(可自定义)，则策略系统汇总这些文档，结合之前的训练文档，形成新的训练集，再次训练，更新原有机器学习策略

6.4)对于6.2)发来的新类和文档，策略系统训练这些文档，形成新类的机器学习策略，并按默认的高低精度值设置该机器学习策略的匹配阈值

6.5)对于6.2)发来的新的归类和文档，如果对于该类的文档，达到一定数量(同步骤6.3中的定义值)，则策略系统汇总这些文档，结合之前的训练文档，形成新的训练集，再次训练，更新原有机器学习策略

6.6)一旦机器学习策略训练完成，策略系统自动将新的机器学习策略下发至DLP系统。

结合图3，本发明还公开了一种结合机器学习的数据防泄漏策略动态更新装置，该装置包括：

机器学习策略生成模块，根据用户输入的敏感文档，训练生成机器学习策略，并在策略系统中配置一个高精度匹配阈值和一个低精度匹配阈值，并将机器学习策略下发至DLP系统；

敏感信息识别模块，对外发的用户文档进行敏感信息识别；

文档阻止模块，阻止和机器学习策略相似度等于或高于高精度匹配阈值的用户文档发送；

文档筛选模块，允许和机器学习策略相似度低于高精度阈值，但高于或等于低精度匹配阈值的用户文档发送，并形成文档记录，且通知策略管理员对该用户文档进行筛选；

机器学习策略更新模块，根据策略管理员对用户文档的筛选结果确定是否更新机器学习策略。

所述机器学习策略更新模块具体包括：

文档发送子模块，如果策略管理员认为该用户文档包含敏感信息，且符合当前机器学习的智能聚类，则将该用户文档发送至策略系统；

文档归类子模块，如果策略管理员认为该用户文档包含敏感信息，且不符合当前机器学习的智能聚类，则建立一个新类或将文档重新归类，并将新类名或归类后的类名、以及用户文档发送至策略系统。

所述机器学习策略更新模块具体包括：

第一训练集生成子模块，如果文档发送子模块发送至策略系统的用户文档达到预定数量阈值，则策略系统汇总这些用户文档，并结合用户输入的敏感文档，形成新的训练集，更新原有机器学习策略；

第二训练集生成子模块，对于文档归类子模块发送的新类名以及用户文档，策略系统训练这些用户文档，形成新类的机器学习策略，并设置该机器学习策略的高/低精度匹配阈值。

第二训练集生成子模块，对发送重新归类后的类名、以及用户文档，如果对于该类的用户文档，达到预定数量阈值，则策略系统汇总这些用户文档，结合之前的训练文档，形成新的训练集，并更新原有机器学习策略。

使用本发明的方案，可以通过设置不同精度的匹配阈值，保证对敏感信息的拦截，并通过人工筛选，将机器学习策略中，高精度阈值情况未命中，但较低精度阈值可命中的文档进行二次筛选，之后通过机器学习进行再次训练，得到新的机器学习策略，并自动将该策略下发到DLP系统，通过策略的不断迭代，能更好而且适应特定公司的要求。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、系统、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式发送机或其他可编程数据发送终端设备的发送器以产生一个机器，使得通过计算机或其他可编程数据发送终端设备的发送器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的系统。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据发送终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令系统的制造品，该指令系统实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据发送终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的发送，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种结合机器学习的数据防泄漏策略动态更新方法及装置，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (8)

1.一种结合机器学习的数据防泄漏策略动态更新方法，其特征在于，该方法包括以下步骤：

1)根据用户输入的敏感文档，训练生成机器学习策略，并在策略系统中配置一个高精度匹配阈值和一个低精度匹配阈值，并将机器学习策略下发至DLP系统；

2)当有用户文档向外发送时，对该用户文档进行敏感信息识别；

3)如果该用户文档和机器学习策略的匹配度等于或高于高精度匹配阈值，则阻止用户文档发送；

4)如果该用户文档和机器学习策略的匹配度低于高精度匹配阈值，但高于或等于低精度匹配阈值，则允许该用户文档发送，并形成文档记录，且通知策略管理员对该用户文档进行筛选；

5)根据策略管理员对用户文档的筛选结果确定是否更新机器学习策略；

所述步骤5)具体包括：

5.1)如果策略管理员认为该用户文档包含敏感信息，且符合当前机器学习的智能聚类，则将该用户文档发送至策略系统；

5.2)如果策略管理员认为该用户文档包含敏感信息，且不符合当前机器学习的智能聚类，则建立一个新类或将文档重新归类，并将新类名或归类后的类名、以及用户文档发送至策略系统。

2.如权利要求1所述的方法，其特征在于，所述步骤5)具体包括：

5.3)如果步骤5.1)中发送至策略系统的用户文档，达到预定数量阈值，则策略系统汇总这些用户文档，并结合步骤1)输入的敏感文档，形成新的训练集，更新原有机器学习策略，或者

5.4)对于步骤5.2)发送的新类名或归类后的类名、以及用户文档，策略系统训练这些新类的用户文档，形成新类的机器学习策略，并根据预设值，设置该机器学习策略的高/低精度匹配阈值。

3.如权利要求2所述的方法，其特征在于，所述步骤5.4)中，对发送重新归类后的类名、以及用户文档，如果对于该类的用户文档，达到一定数量，则策略系统汇总这些用户文档，结合之前的训练文档，形成新的训练集，并更新原有机器学习策略。

4.如权利要求1-3之一所述的方法，其特征在于，对于一类敏感文档，训练生成一条机器学习策略。

5.一种结合机器学习的数据防泄漏策略动态更新装置，其特征在于，该装置包括：机器学习策略生成模块，根据用户输入的敏感文档，训练生成机器学习策略，并在策略系统中配置一个高精度匹配阈值和一个低精度匹配阈值，并将机器学习策略下发至DLP系统；

敏感信息识别模块，对外发的用户文档进行敏感信息识别；

文档阻止模块，阻止和机器学习策略的匹配度等于或高于高精度匹配阈值的用户文档发送；文档筛选模块，允许和机器学习策略的匹配度低于高精度匹配阈值，但高于或等于低精度匹配阈值的用户文档发送，并形成文档记录，且通知策略管理员对该用户文档进行筛选；

机器学习策略更新模块，根据策略管理员对用户文档的筛选结果确定是否更新机器学习策略；

所述机器学习策略更新模块具体包括：

文档发送子模块，如果策略管理员认为该用户文档包含敏感信息，且符合当前机器学习的智能聚类，则将该用户文档发送至策略系统；

文档归类子模块，如果策略管理员认为该用户文档包含敏感信息，且不符合当前机器学习的智能聚类，则建立一个新类或将文档重新归类，并将新类名或归类后的类名、以及用户文档发送至策略系统。

6.如权利要求5所述的装置，其特征在于，所述机器学习策略更新模块具体包括：

第一训练集生成子模块，如果文档发送子模块发送至策略系统的用户文档达到预定数量阈值，则策略系统汇总这些用户文档，并结合用户输入的敏感文档，形成新的训练集，更新原有机器学习策略；

第二训练集生成子模块，对于文档归类子模块发送的新类名或归类后的类名、以及用户文档，策略系统训练这些新类的用户文档，形成新类的机器学习策略，并设置该机器学习策略的高/低精度匹配阈值。

7.如权利要求6所述的装置，其特征在于，第二训练集生成子模块，对发送的重新归类后的类名、以及用户文档，如果对于该类的用户文档，达到预定数量阈值，则策略系统汇总这些用户文档，结合之前的训练文档，形成新的训练集，并更新原有机器学习策略。

8.一种计算机可读存储介质，存储有计算机程序指令，当执行所述计算机程序指令时，实现如权利要求1-4之一所述的方法。

Images